问题描述

API Management service 设置禁止外网访问，请求通过外网（Internet）将无法解析到APIM的网关地址，只能通过APIM所集成的内网（Virtual Network）来访问？

问题解答

API Management Service有可以将整个APIM都保护中内部网络访问的功能，也可以针对某些敏感数据的API进行特殊设定，通过访问策略来实现特定IP地址的访问。

方式一：把APIM整个服务集成在内部虚拟网络中

可以将 API Management service 到 Azure 虚拟网络 (Vnet) 内部，以便它可以访问该网络中的后端服务。

外部：可以通过外部负载均衡器从公共 Internet 访问 API 管理网关和开发人员门户。网关可以访问虚拟网络中的资源。

内部：只能通过内部负载均衡器从虚拟网络内部访问 API 管理网关和开发人员门户。网关可以访问虚拟网络中的资源。

在门户上配置根据页面提示一步一步完成，非常容易上手，只是这个过程耗时较长（45分钟左右）。

注意：要进行验证是否配置成功，需要在同一虚拟网络(VNET)中创建虚拟机(VM)，访问APIM的开发者门户或APIM中API的完整URL进行验证。

方式二：设置APIM访问限制策略 -- ip-filter 限制调用方IP

ip-filter 策略筛选（允许/拒绝）来自特定 IP 地址和/或地址范围的调用。（官网介绍：https://docs.azure.cn/zh-cn/api-management/api-management-access-restriction-policies#restrict-caller-ips）

设置语句

&lt;policies&gt;
    &lt;inbound&gt;
        &lt;base /&gt;
       &lt;ip-filter action="allow | forbid"&gt;
            &lt;address&gt;address&lt;/address&gt;
            &lt;address-range from="address" to="address" /&gt;
        &lt;/ip-filter&gt;
    &lt;/inbound&gt;
    &lt;backend&gt;
        &lt;base /&gt;
    &lt;/backend&gt;
    &lt;outbound&gt;
        &lt;base /&gt;
    &lt;/outbound&gt;
    &lt;on-error&gt;
        &lt;base /&gt;
    &lt;/on-error&gt;
&lt;/policies&gt;

在API的Design页面，也可以通过界面方式操作：